Se ha observado que un grupo hacktivista conocido como Twelve utiliza un arsenal de herramientas disponibles p\u00fablicamente para llevar a cabo ataques cibern\u00e9ticos destructivos contra objetivos rusos.<\/p>\n
“En lugar de exigir un rescate para descifrar los datos, Twelve prefiere cifrar los datos de las v\u00edctimas y luego destruir su infraestructura con un limpiador para evitar su recuperaci\u00f3n”, afirma Kaspersky. dicho<\/a> en un an\u00e1lisis del viernes.<\/p>\n “Este enfoque es indicativo de un deseo de causar el m\u00e1ximo da\u00f1o a las organizaciones objetivo sin obtener un beneficio financiero directo”.<\/p>\n El grupo de piratas inform\u00e1ticos, que se cree se form\u00f3 en abril de 2023 tras el inicio de la guerra entre Rusia y Ucrania, tiene antecedentes de montar ciberataques que tienen como objetivo paralizar las redes de las v\u00edctimas e interrumpir las operaciones comerciales.<\/p>\n Tambi\u00e9n se ha observado que realiza operaciones de pirater\u00eda y filtraci\u00f3n que extraen informaci\u00f3n confidencial, que luego se comparte en su canal de Telegram.<\/p>\n Kaspersky dijo que Twelve comparte superposiciones t\u00e1cticas y de infraestructura con un grupo de ransomware llamado ESTRELLA OSCURA<\/a> (tambi\u00e9n conocido como COMET o Shadow), lo que aumenta la posibilidad de que los dos conjuntos de intrusiones est\u00e9n relacionados entre s\u00ed o sean parte del mismo grupo de actividad.<\/p>\n “Al mismo tiempo, mientras que las acciones de Twelve son claramente de naturaleza hacktivista, DARKSTAR se ci\u00f1e al cl\u00e1sico patr\u00f3n de doble extorsi\u00f3n”, afirm\u00f3 el proveedor ruso de ciberseguridad. “Esta variaci\u00f3n de objetivos dentro del sindicato subraya la complejidad y diversidad de las ciberamenazas modernas”.<\/p>\n Las cadenas de ataque comienzan con la obtenci\u00f3n de acceso inicial mediante el uso indebido de cuentas locales o de dominio v\u00e1lidas, tras lo cual se utiliza el Protocolo de escritorio remoto (RDP) para facilitar el movimiento lateral. Algunos de estos ataques tambi\u00e9n se llevan a cabo a trav\u00e9s de los contratistas de la v\u00edctima.<\/p>\n “Para ello, obtuvieron acceso a la infraestructura del contratista y luego utilizaron su certificado para conectarse a la VPN de su cliente”, se\u00f1al\u00f3 Kaspersky. “Una vez obtenido el acceso, el adversario puede conectarse a los sistemas del cliente a trav\u00e9s del Protocolo de escritorio remoto (RDP) y luego penetrar en la infraestructura del cliente”.<\/p>\n Entre las herramientas utilizadas por Twelve se destacan Cobalt Strike, Mimikatz, Chisel, BloodHound, PowerView, adPEAS, CrackMapExec, Advanced IP Scanner y PsExec para el robo de credenciales, el descubrimiento, el mapeo de redes y la escalada de privilegios. Las conexiones RDP maliciosas al sistema se canalizan a trav\u00e9s de ngrok.<\/p>\n Tambi\u00e9n se han implementado shells web PHP con capacidades para ejecutar comandos arbitrarios, mover archivos o enviar correos electr\u00f3nicos. programas<\/a>como el Shell web de WSO<\/a>est\u00e1n f\u00e1cilmente disponibles en GitHub.<\/p>\n En un incidente investigado por Kaspersky, se dice que los actores de la amenaza explotaron vulnerabilidades de seguridad conocidas (por ejemplo, CVE-2021-21972<\/a> y CVE-2021-22005<\/a>) en VMware vCenter para entregar una Concha web<\/a> que luego se utiliz\u00f3 para colocar una puerta trasera llamada FaceFish.<\/p>\n “Para hacerse un hueco en la infraestructura del dominio, el adversario utiliz\u00f3 PowerShell para a\u00f1adir usuarios y grupos del dominio y modificar las listas de control de acceso (ACL) de los objetos de Active Directory”, afirm\u00f3. “Para evitar ser detectados, los atacantes disfrazaron su malware y sus tareas bajo los nombres de productos o servicios existentes”.<\/p>\n Algunos de los nombres utilizados incluyen “Actualizar Microsoft”, “Yandex”, “YandexUpdate” e “intel.exe”.<\/p>\n Los ataques tambi\u00e9n se caracterizan por el uso de un script de PowerShell (“Sophos_kill_local.ps1”) para finalizar procesos relacionados con el software de seguridad de Sophos en el host comprometido.<\/p>\n Las etapas finales implican el uso del Programador de tareas de Windows para ejecutar ransomware y cargas \u00fatiles de borrado, pero no antes de recopilar y exfiltrar informaci\u00f3n confidencial sobre sus v\u00edctimas a trav\u00e9s de un servicio de intercambio de archivos llamado DropMeFiles en forma de archivos ZIP.<\/p>\n “Los atacantes utilizaron una versi\u00f3n del popular ransomware LockBit 3.0, compilado a partir de un c\u00f3digo fuente disponible p\u00fablicamente, para cifrar los datos”, afirmaron los investigadores de Kaspersky. “Antes de comenzar a trabajar, el ransomware finaliza los procesos que pueden interferir con el cifrado de archivos individuales”.<\/p>\n El limpiador, id\u00e9ntico al malware Shamoon, reescribe el registro de arranque maestro (MBR) en las unidades conectadas y sobrescribe todo el contenido de los archivos con bytes generados aleatoriamente, lo que impide eficazmente la recuperaci\u00f3n del sistema.<\/p>\n “El grupo se limita a utilizar un arsenal de herramientas de malware conocido y de acceso p\u00fablico, lo que sugiere que no fabrica ninguna propia”, se\u00f1al\u00f3 Kaspersky. “Esto permite detectar y prevenir los ataques de Twelve a tiempo”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/09\/El-grupo-hacktivista-Twelve-ataca-a-entidades-rusas-con-ciberataques.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n